Perkara yang Direkodkan oleh CloudTrail

Setiap tindakan dalam AWS ialah panggilan API, sama ada dibuat daripada konsol, CLI, SDK atau perkhidmatan lain. AWS CloudTrail merekodkan panggilan tersebut.

Ia ialah jejak audit yang menjawab soalan keselamatan penting: siapa melakukan apa, bila, dari mana dan pada sumber yang mana — asas akauntabiliti dalam akaun anda.

Setiap peristiwa CloudTrail merekodkan butiran yang banyak: identiti yang membuat panggilan, tindakan (nama peristiwa), masa, IP sumber, parameter dan respons.

Maklumat ini mencukupi untuk membina semula dengan tepat perkara yang berlaku semasa insiden dan mengaitkan setiap perubahan dengan prinsipal tertentu.

CloudTrail secara automatik mencatat aktiviti peristiwa pengurusan selama 90 hari yang lalu dalam sejarah peristiwa, tanpa memerlukan persediaan.

Untuk pengekalan lebih lama dan kawalan penuh, anda mencipta jejak yang menghantar peristiwa ke S3 secara berterusan. Peperiksaan mengharapkan anda mengetahui perbezaan antara sejarah lalai 90 hari dengan jejak yang dikonfigurasikan.

Jejak menangkap peristiwa dan menghantarnya ke baldi S3 untuk penyimpanan jangka panjang, dan secara pilihan ke CloudWatch Logs untuk analisis masa nyata.

Biasanya anda mencipta jejak merentas berbilang rantau untuk seluruh organisasi supaya tiada aktiviti di mana-mana rantau terlepas daripada pengelogan. Inilah rekod kekal dan boleh ditanya yang digunakan untuk menyiasat insiden.

Elemen userIdentity mengaitkan setiap panggilan dengan prinsipal — pengguna IAM, peranan yang diandaikan, pengguna akar atau perkhidmatan AWS.

Semasa penyiasatan, maklumat ini amat bernilai: anda boleh menjejaki tindakan mencurigakan kembali kepada bukti kelayakan dan sesi tepat yang melaksanakannya, termasuk kelayakan yang diandaikan melalui rantaian peranan.

Kedua-duanya mudah dikelirukan. CloudTrail menjawab "siapa yang membuat panggilan API yang mana" — log audit tindakan.

CloudWatch menjawab "bagaimanakah prestasi sistem saya" — metrik, log dan penggera tentang kesihatan operasi. CloudTrail boleh menghantar peristiwa ke CloudWatch Logs, tetapi tujuan kedua-duanya berbeza.

Jejak satu rantau yang dikonfigurasikan dengan salah meninggalkan ruang buta yang boleh dieksploitasi oleh penyerang dengan beroperasi di rantau yang tidak dipantau.

Mendayakan jejak berbilang rantau memastikan aktiviti di semua tempat ditangkap dalam satu lokasi. AWS mengesyorkan ini sebagai asas supaya tiada rantau yang tidak diaudit.

Penyerang yang boleh memadam log dapat menyembunyikan jejak mereka. Lindungi CloudTrail dengan pengesahan fail log (fail ringkasan membuktikan log tidak diubah) dan kunci destinasi S3 dengan dasar yang ketat serta Object Lock.

Simpan log dalam akaun berasingan supaya pencerobohan pada beban kerja tidak dapat mencapainya.

Hantar peristiwa jejak ke CloudWatch Logs dan anda boleh bertindak balas hampir dalam masa nyata: penapis metrik dan penggera tercetus berdasarkan tindakan tertentu, seperti perubahan kumpulan keselamatan atau log masuk akar.

Ini menghubungkan pengelogan audit dengan pemantauan aktif, lalu mengubah rekod sejarah menjadi pengesanan langsung.

Jejak biasanya menghantar peristiwa ke S3 dalam kira-kira 15 minit selepas panggilan API. Ia tahan lama dan boleh dipercayai, tetapi tidak berlaku serta-merta.

Untuk tindak balas yang lebih pantas, strimkan peristiwa ke CloudWatch Logs supaya penggera boleh tercetus hampir dalam masa nyata. Ingat bahawa CloudTrail pada asasnya ialah rekod audit, bukannya sistem penggera dengan kependaman milisaat secara tersendiri.

CloudTrail menjadi asas kepada pengesanan, penyiasatan dan pematuhan. Banyak senario SCS-C02 bergantung pada konfigurasi yang betul, perlindungan lognya dan pertanyaan terhadap log untuk mengetahui perkara yang berlaku.

Jika soalan bertanya cara mengenal pasti siapa yang memadam sumber atau mengubah dasar, CloudTrail hampir sentiasa menjadi sebahagian daripada jawapannya.

AWS CloudTrail ialah jejak audit akaun anda yang merekodkan setiap panggilan API bersama identiti pemanggil, tindakan, masa, IP sumber dan parameter. Secara lalai, ia menyimpan peristiwa pengurusan selama 90 hari dalam sejarah Peristiwa; cipta jejak berbilang rantau ke S3 untuk mendapatkan log yang tahan lama dan boleh dibuat pertanyaan. Ia berbeza daripada CloudWatch, yang memantau prestasi, kerana CloudTrail menjawab persoalan siapa melakukan perkara apa. Lindungi log dengan pengesahan, Object Lock dan akaun berasingan, serta alirkannya ke CloudWatch Logs untuk amaran masa nyata.